Семь безопасных информационных технологий

А. В. БАрАБАноВ, А. В. ДорофееВ, А. С. МАркоВ, В. Л. ЦирЛоВ

СЕМЬ БЕЗОПАСНЫХ  
ИНФОРМАЦИОННЫХ  
ТЕХНОЛОГИЙ

Под редакцией А. С. Маркова

Москва, 2017

УДК 
004.56

ББК 
32.972.13
Б24

Р е ц е н з е н т ы:

С. А. Петренко – докт. техн. наук, профессор СПбГЭТУ «ЛЭТИ» (Санкт-Петербург)

Alec Shcherbakov – GSSP, SCEA, SCJP, эксперт SATEC (San Jose, USA)

Барабанов А. В., Дорофеев А. В., Марков А. С., Цирлов В. Л.

Б24 
Семь безопасных информационных технологий / под ред. А. С. Маркова. – М.: ДМК Пресс, 
2017. – 224 с.: ил.

ISBN 978-5-97060-494-6

Целью написания книги является ознакомление читателей с зарубежными подхода-

ми в области информационной безопасности.

Все разделы подготовлены на базе материалов международных сертификационных 

учебных курсов в области управления информационной безопасностью. Изложены 
базовые принципы, концептуальные подходы и информационные технологии, приме-
няемые при многоуровневой защите информации в организациях. Основное внима-
ние уделено структуризации и классификации методов, техник и средств обеспечения 
безопас ности информационных ресурсов компьютерных систем.

Учебник в первую очередь предназначен для специалистов, желающих принципиаль-

но повысить свой профессиональный статус и подготовиться к сдаче международных 
экзаменов в области информационной безопасности. Полезен студентам, обучающимся 
по специальностям в области информационной безопасности и смежным специально-
стям, а также всем увлекающимся вопросами компьютерной безопасности.

 
УДК 004.56

 
ББК 32.972.13

Все права защищены. Любая часть этой книги не может быть воспроизведена в какой бы то ни было форме и 

какими бы то ни было средствами без письменного разрешения владельцев авторских прав.

Материал, изложенный в данной книге, многократно проверен. Но поскольку вероятность технических ошибок 

все равно существует, издательство не может гарантировать абсолютную точность и правильность приводимых сведе-
ний. В связи с этим издательство не несет ответственности за возможные ошибки, связанные с использованием книги.

 
© А. В. Барабанов, А. В. Дорофеев, А. С. Марков,  

 
 
В. Л. Цирлов, 2017

ISBN 978-5-97060-494-6 
©  Оформление, издание, ДМК Пресс, 2017

Содержание

Предисловие о семи безопасных информационных 
технологиях ...................................................................................... 6

Глава 1. Менеджмент информационной безопасности............ 9

1.1. Основные понятия информационной безопасности....................9
1.2. Система менеджмента информационной безопасности ..........12
1.3. Анализ и управление рисками ......................................................17
1.4. Классификация информации ........................................................23
1.5. Порядок использования политик, стандартов и руководств ......28
1.6. Особенности работы с персоналом .............................................31
Вопросы для повторения .......................................................................33
Лабораторная работа ............................................................................36

Глава 2. Обеспечение безопасного доступа .............................38

2.1. Понятие управления безопасным доступом ...............................38
2.2. Категории управления доступом ..................................................39
2.3. Свойство подотчетности и подсистемы управления  
доступом ..................................................................................................41
2.4. Средства идентификации и аутентификации ..............................43
2.5. Протоколы сетевого доступа .........................................................54
2.6. Методы управления доступом.......................................................58
Вопросы для повторения .......................................................................61
Лабораторная работа ............................................................................64

Глава 3. Обеспечение сетевой безопасности ...........................65

3.1. Понятие компьютерной сети .........................................................65
3.2. Базовая эталонная модель взаимосвязи открытых систем ......74
3.3. Стек протоколов TCP/IP .................................................................78
3.4. Средства обеспечения сетевой безопасности ...........................91
Вопросы для повторения .....................................................................101

Содержание
4

Глава 4. Криптографическая защита информации ...............106

4.1. Основные криптографические примитивы .............................. 106
4.2. Элементарное шифрование....................................................... 108
4.3. Симметричная криптография .................................................... 114
4.4. Асимметричная криптография .................................................. 118
4.5. Электронно-цифровая подпись и криптографическая  
хэш-функция ......................................................................................... 123
4.6. Инфраструктура открытых ключей ............................................ 127
Вопросы для повторения .................................................................... 128

Глава 5. Разработка безопасных программ ...........................132

5.1. Модели жизненного цикла программного обеспечения ........ 132
5.2. Безопасный жизненный цикл программного  
обеспечения ........................................................................................ 136
5.3. Обзор мер по разработке безопасного программного 
обеспечения ........................................................................................ 143
Вопросы для повторения .................................................................... 154

Глава 6. Моделирование и оценка соответствия ...................158

6.1. Основные понятия безопасной архитектуры ........................... 158
6.2. Концептуальные модели управления доступом ...................... 160
6.3. Принципы безопасной архитектуры ЭВМ ................................ 166
6.4. Скрытые каналы передачи информации...................................170
6.5. Критерии оценки соответствия ...................................................173
Вопросы для повторения .................................................................... 184

Глава 7. Обеспечение непрерывности бизнеса 
и восстановления ........................................................................187

7.1. Управление непрерывностью бизнеса  
и восстановлением ............................................................................. 187
7.2. Модель менеджмента непрерывности бизнеса ...................... 188
Вопросы для повторения .................................................................... 198

Литература ....................................................................................201

Ответы на вопросы для повторения .........................................208

Содержание

Приложение 1. Кодекс профессиональной этики ..................214

Четыре заповеди профессиональной этики (ISC)2 ..........................214
Семь правил профессиональной этики ISACA ..................................214

Приложение 2. Типовые компьютерные атаки ......................216

Криптографические и парольные атаки............................................216
Атаки на отказ в обслуживании ..........................................................217
Атаки на программный код и приложения ...................................... 218
Атаки социальной инженерии и физические атаки ........................ 219
Сетевые атаки ..................................................................................... 220

Предисловие о семи безопасных информационных технологиях
6
Предисловие 
о семи безопасных 
информационных 
технологиях

Держите меня всемером!
План безопасности Белоснежки

Безопасные информационные технологии (опираясь на ISO/
IEC 38500-2015) можно определить как методические и техниче-
ские ресурсы, необходимые для безопасного сбора, обработки, хра-
нения и распространения информации в компьютерных системах.
Чрезвычайная актуальность и удивительный интерес к тематике 
не нуждаются в аргументации. Внедрение безопасных информа-
ционных технологий (ИТ) – сейчас самое передовое направление 
автоматизации любой деятельности.
В настоящее время известен ряд увлекательных учебников в об-
ласти информационной безопасности (ИБ), отражающий акаде-
мические изыскания отечественных научных школ или ИТ-корпо-
раций [1–40]. Особенностью этой книги является формирование 
учебного курса, соответствующего исключительно международ-
ному вектору развития в области обучения ИБ, проще говоря, 
неофициальному осмыслению самых востребованных в мире сер-
тификационных курсов в области ИБ, к примеру:
 
‘ CISSP (Certified Information Systems Security Professional), 
CSSLP (Certified Secure Software Lifecycle Professional), 
поддерживаемых международным консорциумом (ISC) – 
Interna tional Information Systems Security Certification 
Consortium [41–46];
 
‘ CISM (Certified Information Security Manager), CISA (Certified 
Information Systems Auditor), организуемых международной 

Предисловие о семи безопасных информационных технологиях

ассоциацией ISACA (Information Systems Audit and Control 
Association) и др. [47–51].
Определение авторами указанной, в общем-то принципиальной, 
позиции связано с двумя моментами:
 
‘ данный учебник исключительно полезен активным 
ИТ-специалистам, чтобы подготовиться к соответствующим 
международным сертификационным экзаменам в области ИБ, 
что чрезвычайно важно в карьерном и информационно-пуб-
личном плане;
 
‘ понимание специфики элитных международных курсов по-
зволяет российским профессионалам провести некоторую 
рефлексию отечественных направлений в обучении по линии 
ИБ, сравнить их с системой взглядов, предпочитаемой зару-
бежными специалистами.
Надо понимать, что изучение международных тенденций в безопас-
ных информационных технологиях позволяет отечественным 
ИТ-стартапам повысить свою конкурентоспособность на между-
народных рынках.
Разумеется, авторами учебника выступили специалисты, имею-
щие соответствующие сертифицированные международные статусы:
 
‘ Барабанов Александр (CISSP, CSSLP);
 
‘ Дорофеев Александр (CISSP, CISA, CISM, BSI Lead Auditor);
 
‘ Марков Алексей (CISSP, SBCI, BSI Lead Auditor, IEEE 
Member, ACM Member);
 
‘ Цирлов Валентин (CISSP, CISM, AMBCI).
Учебные материалы апробированы в МГТУ им. Н. Э. Баумана 
(курс «Сертификация специалистов по информационной безопас-
ности»), в Финансовом университете при Правительстве РФ (курс 
«Организационные основы информационной безопасности») 
и в УЦ «Эшелон» (курс «Подготовка к CISSP за 12 сиреневых 
вечеров»). Отдельные вопросы обсуждались на страницах рецен-
зируемого журнала «Вопросы кибербезопасности» [52–61].
Учебник включает в себя семь разделов по безопасным инфор-
мационным технологиям:

Предисловие о семи безопасных информационных технологиях
8

1) менеджмент информационной безопасности;
2) обеспечение безопасного доступа;
3) обеспечение сетевой безопасности;
4) криптографическая защита информации;
5) разработка безопасных программ;
6) моделирование и оценка соответствия;
7) обеспечение непрерывности бизнеса и восстановления.
В качестве приложений к учебнику представлен свод типовых 
компьютерных атак, чтоб исключить их повторяемость в различных 
главах, а также декларируемые за рубежом этические правила, что 
поможет понять некоторые идейные международные принципы ИБ.
Выбор указанных разделов определен опытом успешной сдачи 
названных ранее сертификационных экзаменов. Разделы допол-
нены оригинальными вопросами и заданиями для самоподготовки.
Авторы в книге придерживаются международной терминологии, 
определенной международными стандартами или сертификацион-
ными курсами, специфические термины продублированы на анг-
лийском языке.
Авторы выражают благодарность сотрудникам НПО «Эшелон»: 
сертифицированным специалистам CISSP Андрею Фадину и CISSP 
Евгению Веселову (за моральную поддержку), CPSCE Георгию Мар-
кову (за оригинальные вопросы), а также маркетологу Илье Ануф рие-
ву и корректору Яне Авезовой (за помощь в оформлении), доцентам 
и преподавателям кафедры ИУ-8 «Информационная безопасность» 
МГТУ им. Н. Э. Баумана Виталию Веренице, Игорю Шахалову, Миха-
илу Никулину, Олегу Гудкову, Сергею Борзых и Анастасии Большако-
вой (за критику всех зарубежных практик). Авторы также призна-
тельны рецензентам учебного курса – профессору Сергею Пет ренко 
(СПбГЭТУ «ЛЭТИ») [31] и эксперту SATEC, члену OWASP, GSSP, 
SCEA, SCJP Alec Shcherbakov (Silicon Value, USA) [67].

Научный редактор
Алексей Марков,
доктор технических наук,
эксперт Российской академии наук

Глава 1

Менеджмент  
информационной  
безопасности

В этой главе:
 
‘ Факторы информационной безопасности
 
‘ Система менеджмента информационной безопасности
 
‘ Анализ риска
 
‘ Классификация информации
 
‘ Политики и планы безопасности
 
‘ Работа с персоналом

1.1. Основные понятия информационной 
безопасности

Под информационной безопасностью (ИБ) системы обычно понимают 
состояние (свойство) защищенности ее ресурсов в условиях наличия 
угроз в информационной сфере. С комплексом мероприятий, направленных 
на обеспечение ИБ, связывают понятие защиты информации.
Определяющими факторами ИБ являются угроза (threat) и риск 
(risk).
Угрозой называют потенциальную причину (событие, нарушение, 
инцидент), снижающую уровень ИБ информационной системы, 
т. е. потенциально способную привести к негативным последствиям 
и ущербу системы или организации.
Риск представляет собой возможный ущерб, т. е. комбинацию 
(как правило, произведение), вероятности реализации угрозы 
и ущерба от нее.
Отметим, что угроза и риск определяются не вообще, а относительно 
конкретного защищаемого ресурса. В терминологии теории 

Менеджмент информационной безопасности  
10

менеджмента бизнес-процессов вместо ресурса используется синонимическое 
понятие – актив (asset), под определение которого 
подпадает все, что имеет ценность для организации, например: 
базы данных, техническое и программное обеспечение, сетевая 
инфраструктура, специалисты.
Угрозы ИБ классифицируют по ряду критериев:
 
‘ по причине возникновения (природные или техногенные, 
в том числе преднамеренные или случайные);
 
‘ по расположению источника (внешние или внутренние);
 
‘ по компрометируемой подсистеме или сегменту (сетевые, 
криптографические и др.);
 
‘ по этапу формирования в жизненном цикле системы (реали-
зационные и эксплуатационные);
 
‘ по результирующему действию (нарушают уровень конфиден-
циальности, целостности или доступности).
Примеры угроз ИБ представлены в табл. 1.1.

Таблица 1.1. Примеры угроз информационной безопасности

Задачи обеспечения 
безопасности
Техногенные
Природные
Преднамеренные
Случайные
Контроль физического доступа Бомбардировка
Сон вахтерши
Торнадо
Сохранность оборудования
Вандализм
Запыление
Шаровые 
молнии
Управление сетевыми 
коммуникациями
Прослушивание сети Флуктуации в сети
Магнитные 
бури
Защита информационных 
хранилищ
Взлом парольной 
системы
Сбой 
криптосредств
Грибки

Управление непрерывностью 
деятельности
Последствие  
DOS-атаки
Последствия тестов 
на проникновение
Карстовые 
процессы
Соответствие 
законодательству
Компьютерное 
пиратство
Тиражирование 
персональных 
данных

Природные 
пожары

Наиболее известным примером реестра угроз может служить 
Каталог угроз Федерального агентства по ИБ Германии (BSI IT-
Grundschutz-Kataloge)1.

1 •RU• В России – Банк данных угроз безопасности информации ФСТЭК России 
(bdu.fstec.ru).

Основные понятия информационной безопасности

Одной из наиболее актуальных угроз ИБ компьютерных систем 
является возможность реализации уязвимости (vulnerability) систе-
мы. Под уязвимостью понимают реализуемый дефект (weakness) 
технического и программного обеспечения системы, снижающий 
уровень защищенности ресурсов от тех или иных угроз. Отметим, 
наличие уязвимости становится угрозой, если ее можно реализо-
вать так, что это приведет к недопустимому ущербу организации. 
Например, наличие сетевых уязвимостей в программном обеспе-
чении изолированного компьютера не является угрозой.
Известен ряд баз данных уязвимостей, например: OSVDB, Mitre 
CVE (Common Vulnerabilities and Exposures), NVD, CNNVD, JVN 
iPedia, IBM X-Force и др. Наиболее известной базой описания 
дефектов безопасности программного кода является реестр Mitre 
CWE (Common Weakness Enumeration).
Умышленная реализация угроз и уязвимостей в компьютерных 
системах, приводящая к ущербу организации, называется компью-
терной атакой («вторжением») на ресурсы. Примером междуна-
родного каталога шаблонов компьютерных атак является Mitre 
CAPEC (Common Attack Pattern Enumeration and Classification).

Рис. 1.1. Факторы информационной безопасности  
в жизненном цикле систем

Понятие ИБ включает в себя совокупность различных свойств, 
основными из которых являются:
 
‘ конфиденциальность,
 
‘ целостность,
 
‘ доступность.

Менеджмент информационной безопасности  
12

Конфиденциальность – свойство системы, определяющее ее за-
щищенность от несанкционированного раскрытия информации.
Целостность – свойство, определяющее защищенность от не-
санкционированного изменения. Разделяют логическую и фи-
зическую целостность. Физическая целостность подразумевает 
неизменность физического состояния данных на машинном носи-
теле. Логическая целостность отражает корректность выполнения 
вычислительных процессов (транзакций), полноту и непротиво-
речивость информации, например в СУБД, файловых системах, 
электронных архивах, хранилищах данных, системах управления 
документооборотом и т. д.
Доступность – свойство, определяющее возможность за задан-
ное время получить требуемую информационную услугу автори-
зованному пользователю. С доступностью часто связывают такую 
характеристику системы, как готовность – способность к выпол-
нению заявленных функций в установленных технических условиях. 
Атаки, имеющие целью нарушить степень доступности, получили 
название атак на отказ в обслуживании (DOS-атаки).
Что касается информационной системы, то часто в качестве 
наиболее важных свойств ее ИБ, для выражения значимости, упо-
минают свойства аутентичности, подотчетности, неотказуемости, 
надежности и др.
Повышение и обеспечение заданных уровней конфиденциально-
сти, целостности и доступности ресурсов осуществляются путем 
применения механизмов ИБ – различных организационно-техни-
ческих мер ИБ (controls).

1.2. Система менеджмента 
информационной безопасности

Скоординированные действия, выполняемые с целью повышения 
и поддержания на требуемом уровне ИБ организации, называются 
менеджментом (организационно-техническим управлением) ИБ.
Совокупность участников, правил, процедур и мер, используе-
мых для обеспечения требуемого уровня ИБ организации, состав-

Система менеджмента информационной безопасности

ляет систему менеджмента ИБ (СМИБ).
В концептуальном плане СМИБ включает в себя два основных 
уровня управления:
 
‘ процедурный, касающийся документального оформления биз-
нес-процессов организации;
 
‘ организационно-технический, касающийся непосредственно 
мер безопасности.
Процедурный уровень основывается на процессном подходе 
бизнес-риска, его цель состоит в создании, реализации, эксплуа-
тации, мониторинге, анализе, повышении и поддержке заданного 
уровня ИБ.
Для практического описания жизненного цикла СМИБ популяр-
на процессная модель PDCA – «Plan (планирование), Do (реали-
зация), Check (проверка) – Act (совершенствование)», известная 
как цикл Шухарта–Деминга1. К примеру, на стадии планирования 
устанавливают политики ИБ, процедуры, проводится оценка риска. 
На стадии реализации осуществляются внедрение и поддержка по-
литики ИБ, обработка риска, осуществление контрмер, установка 
защитных средств и сервисов. На стадии проверки осуществляются 
контроль факторов ИБ, оценка и анализ эффективности процессов 
управления ИБ. На завершающей стадии осуществляются выра-
ботка и принятие корректирующих и превентивных действий, про-
водятся переоценка рисков, пересмотр политики и т. д.
При создании СМИБ в первую очередь выбирают наиболее кри-
тичные c точки зрения безопасности процессы или процессы, касаю-
щиеся определенных видов деятельности организации, например 
касающиеся международной деятельности или государственного за-
каза. Соответственно, создание СМИБ может быть поэтапным.
Если обратить внимание на рис. 1.2, можно отметить, что СМИБ 
не существует сама по себе, а направлена на удовлетворение по-
требностей и ожиданий заинтересованных сторон, как то: руковод-
ства организации, клиентов, партнеров, регулирующих органов, 
сотрудников.

1 ISO 9001. Quality management systems – Requirements.